<html><head><meta http-equiv="Content-Type" content="text/html; charset=UTF-8"><meta http-equiv="Content-Language" content="zh-CN"><title>systemd-nspawn
  中文手册 [金步国]</title><style>
@font-face { font-family: "JinBuGuoWebMono"; src: url("http://www.jinbuguo.com/d/mono.ttf") format("truetype"); }
* { font-family: "JinBuGuoWebMono", "Ubuntu Mono", "Consolas", "Menlo", monospace; }
body { margin:10px; }
h1 { text-align:center; background:#ddd; }
h2#auth_name { text-align:center; margin: 10px 5%; }

    a.headerlink {
      color: #c60f0f;
      font-size: 0.8em;
      padding: 0 4px 0 4px;
      text-decoration: none;
      visibility: hidden;
    }

    a.headerlink:hover {
      background-color: #c60f0f;
      color: white;
    }

    h1:hover > a.headerlink, h2:hover > a.headerlink, h3:hover > a.headerlink, dt:hover > a.headerlink {
      visibility: visible;
    }
</style><script> var _hmt = _hmt || []; (function() { var hm = document.createElement("script"); hm.src = "https://hm.baidu.com/hm.js?d286c55b63a3c54a1e43d10d4c203e75"; var s = document.getElementsByTagName("script")[0]; s.parentNode.insertBefore(hm, s); })(); </script></head><body bgcolor="white" text="black" link="#0000FF" vlink="#840084" alink="#0000FF"><h1>systemd-nspawn 中文手册</h1><h2 id="auth_name">译者：<strong><a href="http://www.jinbuguo.com/">金步国</a></strong></h2><hr><h3>版权声明</h3><p>本文译者是一位开源理念的坚定支持者，所以本文虽然不是软件，但是遵照开源的精神发布。</p><ul><li>无担保：本文译者不保证译文内容准确无误，亦不承担任何由于使用此文档所导致的损失。</li><li>自由使用：任何人都可以自由的<u>阅读/链接/打印</u>此文档，无需任何附加条件。</li><li>名誉权：任何人都可以自由的<u>转载/引用/再创作</u>此文档，但必须保留译者署名并注明出处。</li></ul><h3>其他作品</h3><p>本文译者十分愿意与他人分享劳动成果，如果你对我的其他翻译作品或者技术文章有兴趣，可以在如下位置查看现有的作品集：</p><ul><li><a href="http://www.jinbuguo.com/">金步国作品集</a> [ <a href="http://www.jinbuguo.com/">http://www.jinbuguo.com/</a> ]</li></ul><h3>联系方式</h3><p>由于译者水平有限，因此不能保证译文内容准确无误。如果你发现了译文中的错误(哪怕是错别字也好)，请来信指出，任何提高译文质量的建议我都将虚心接纳。</p><ul><li>Email(QQ)：70171448在QQ邮箱</li></ul><hr><a href="systemd.index.html">手册索引</a> ·
  <a href="systemd.directives.html">指令索引</a><span style="float:right">systemd-241</span><hr><div class="refentry"><a name="systemd-nspawn"></a><div class="titlepage"></div><div class="refnamediv"><h2>名称</h2><p>systemd-nspawn — 在轻量级容器中运行命令或操作系统</p></div><div class="refsynopsisdiv"><h2>大纲</h2><div class="cmdsynopsis"><p><code class="command">systemd-nspawn</code>  [OPTIONS...] [<em class="replaceable"><code>COMMAND</code></em>
       [ARGS...]
      ]</p></div><div class="cmdsynopsis"><p><code class="command">systemd-nspawn</code>   --boot  [OPTIONS...] [ARGS...]</p></div></div><div class="refsect1"><a name="id-1.5"></a><h2 id="描述">描述<a class="headerlink" title="Permalink to this headline" href="systemd-nspawn.html#%E6%8F%8F%E8%BF%B0">¶</a></h2><p><span class="command"><strong>systemd-nspawn</strong></span> 可用于在一个轻量级的名字空间容器中运行一条命令、甚至一个操作系统。
    它与 <a href="http://man7.org/linux/man-pages/man1/chroot.1.html"><span class="citerefentry"><span class="refentrytitle">chroot</span>(1)</span></a> 很相似，
    但是功能更为强大：它能够完全的虚拟化文件系统层次结构、进程树、各种进程间通信(IPC)子系统、
    主机名与域名。</p><p><span class="command"><strong>systemd-nspawn</strong></span> 能够
    通过 <code class="option">--directory=</code> 选项运行在任何包含操作系统的目录树上。通过使用 <code class="option">--machine=</code> 选项，
    可以自动在特定的位置(特别是保存容器镜像的默认目录
    <code class="filename">/var/lib/machines</code>)
    搜索操作系统目录树。</p><p>与 <a href="http://man7.org/linux/man-pages/man1/chroot.1.html"><span class="citerefentry"><span class="refentrytitle">chroot</span>(1)</span></a> 相比， <span class="command"><strong>systemd-nspawn</strong></span>
    的强大之处还体现在它能够在容器内启动一个完整的Linux操作系统。</p><p><span class="command"><strong>systemd-nspawn</strong></span> 会对容器内部的进程作如下限制：(1)仅允许以只读方式访问例如
     <code class="filename">/sys</code>, <code class="filename">/proc/sys</code>, <code class="filename">/sys/fs/selinux</code> 这样的内核接口。
    (2)禁止修改主机的网络接口以及系统时钟。(3)禁止创建设备节点。
    (4)禁止重启主机操作系统。
    (5)禁止加载内核模块。</p><p>可以使用例如
    <a href="https://www.mankier.com/8/dnf"><span class="citerefentry"><span class="refentrytitle">dnf</span>(8)</span></a>,
    <a href="https://linux.die.net/man/8/debootstrap"><span class="citerefentry"><span class="refentrytitle">debootstrap</span>(8)</span></a>,
    <a href="https://www.archlinux.org/pacman/pacman.8.html"><span class="citerefentry"><span class="refentrytitle">pacman</span>(8)</span></a>
    这样的工具为 <span class="command"><strong>systemd-nspawn</strong></span> 容器安装一个操作系统目录树。
    详见后文的"例子"小节以了解更多有关如何使用这些命令的示例。</p><p>出于安全考虑， <span class="command"><strong>systemd-nspawn</strong></span> 会在启动容器之前，首先检查容器中是否存在
    <code class="filename">/usr/lib/os-release</code> 或 <code class="filename">/etc/os-release</code>
    文件(参见
    <a href="os-release.html#"><span class="citerefentry"><span class="refentrytitle">os-release</span>(5)</span></a>)。
    因此对于那些不包含 <code class="filename">os-release</code> 文件的容器镜像来说，
    有必要手动添加 <code class="filename">os-release</code> 文件。</p><p><span class="command"><strong>systemd-nspawn</strong></span> 既可以在交互式命令行上直接调用，也可以作为系统服务在后台运行。
    当作为后台服务运行时，每一个容器实例就是一个以容器自己的名字命名的服务实例。
    为了简化容器实例的创建，提供了一个默认的 <code class="filename">systemd-nspawn@.service</code> 模版单元，
    它以容器的名字作为单元实例的名字。注意，当 <span class="command"><strong>systemd-nspawn</strong></span> 被模版单元调用时，
    命令行选项的默认值与从交互式命令行调用时的默认值是不一样的。最重要的差别在于：模版单元会默认使用
     <code class="option">--boot</code> 选项，
    而交互式命令行默认并不使用它。
    其他的差别在后文对每一个命令行选项的详细解释中会有所说明。</p><p>可以使用 <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>
    工具来管理容器。
    它提供了许多方便的命令来基于 <code class="filename">systemd-nspawn@.service</code> 模版
    以系统服务的方式运行容器。</p><p>对于每一个容器，都可以存在一个同名的 <code class="filename">.nspawn</code> 配置文件，
    用于针对个别容器做特别的设置(详见
    <a href="systemd.nspawn.html#"><span class="citerefentry"><span class="refentrytitle">systemd.nspawn</span>(5)</span></a> 手册)。
    配置文件中的设置可以覆盖 <code class="filename">systemd-nspawn@.service</code> 模版的默认设置，
    从而可以避免直接对模版进行修改。</p><p>注意， <span class="command"><strong>systemd-nspawn</strong></span> 会挂载专属于容器内部私有的例如
    <code class="filename">/dev</code>, <code class="filename">/run</code> 之类的虚拟文件系统。
    它们在容器之外不可见，并且随着容器的退出而自动消亡。</p><p>注意，即使在同一个目录上运行两个 <span class="command"><strong>systemd-nspawn</strong></span> 容器，这两个容器内的进程也是互相不可见的。
    两个容器的 PID 名字空间是完全互相隔离的，除了共享相同的底层文件系统之外，
    两个容器之间几乎不再共享其他对象(除了几个极个别的运行时对象)。
    <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a> 的
    <span class="command"><strong>login</strong></span> 或 <span class="command"><strong>shell</strong></span> 命令可以
    在一个正在运行的容器中打开一个额外的登录会话。</p><p><span class="command"><strong>systemd-nspawn</strong></span> 遵守 <a class="ulink" href="https://www.freedesktop.org/wiki/Software/systemd/ContainerInterface" target="_top">Container Interface</a>
    规范。</p><p>由 <span class="command"><strong>systemd-nspawn</strong></span> 启动的容器将会被注册到
    <a href="systemd-machined.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-machined.service</span>(8)</span></a>
    服务中(如果它正在运行的话)，并且被该服务持续跟踪，此外，该服务还提供了与这些容器交互的编程接口。</p></div><div class="refsect1"><a name="id-1.6"></a><h2 id="选项">选项<a class="headerlink" title="Permalink to this headline" href="systemd-nspawn.html#%E9%80%89%E9%A1%B9">¶</a></h2><p>如果使用了 <code class="option">--boot</code> 选项，那么命令行参数(ARGS)将被原封不动的传递给 init 程序。
    否则，将创建一个容器并在其中启动
    <em class="replaceable"><code>COMMAND</code></em> 程序，
    同时，命令行参数(ARGS)将被原封不动的传递给此程序。
    如果既没有使用 <code class="option">--boot</code> 选项，
    也没有设置命令行参数(ARGS)，
    那么将创建一个容器并在其中启动一个 shell 。</p><p>可以使用的命令行选项(OPTIONS)如下：</p><div class="variablelist"><dl class="variablelist"><dt id="-D"><span class="term"><code class="option">-D</code>, </span><span class="term"><code class="option">--directory=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-D">¶</a></dt><dd><p>容器的
        根文件系统目录。</p><p>如果 <code class="option">--directory=</code> 与
        <code class="option">--image=</code> 都没有设置，
        那么将会搜索与容器名称(也就是 <code class="option">--machine=</code> 选项的值)同名的目录，
        并将其用作容器的根目录。参见
        <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>
        手册的"文件与目录"小节，以了解具体的搜索路径。</p><p>如果 <code class="option">--directory=</code>,
        <code class="option">--image=</code>, <code class="option">--machine=</code>
        都没有设置，那么将会把当前目录用作容器的根目录。
        此选项不可与
        <code class="option">--image=</code> 同时使用。</p></dd><dt id="--template="><span class="term"><code class="option">--template=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--template=">¶</a></dt><dd><p>容器根目录的模版。必须是一个目录(或 "<code class="literal">btrfs</code>" 子卷)。
        如果指定了此选项并且容器的根目录(<code class="option">--directory=</code>)尚不存在，
        那么将会首先创建一个空的根目录(或 "<code class="literal">btrfs</code>" 快照)，
        然后将模版目录中的内容原封不动的复制一份填充进去。
        如果模版是一个 "<code class="literal">btrfs</code>" 子卷的根，
        那么只需创建一个COW(copy-on-write)快照，即可瞬间完成容器根目录的填充。
        如果模版不是一个 "<code class="literal">btrfs</code>" 子卷的根(甚至不是 "<code class="literal">btrfs</code>" 文件系统)，
        那么必须使用低效的复制操作(如果文件系统支持的话，也可能实际上是通过 copy-on-write 操作)，
        这样就有可能需要花费大量的时间才能完成容器根目录的填充。
        此选项不可与 <code class="option">--image=</code> 或 <code class="option">--ephemeral</code> 同时使用。</p><p>注意，
        模版中 "hostname", "machine ID" 之类的系统标识设置，
        将会被原封不动的复制到容器根目录去。</p></dd><dt id="-x"><span class="term"><code class="option">-x</code>, </span><span class="term"><code class="option">--ephemeral</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-x">¶</a></dt><dd><p>以无痕模式运行容器。使用此选项之后，容器将会运行在文件系统的临时快照之上，
        当容器结束运行时，这个临时快照将会被立即删除，因此不会留下任何痕迹。
        此选项不可与 <code class="option">--template=</code> 同时使用。</p><p>注意，使用此选项启动的容器，
        原有的 "hostname", "machine ID" 之类的系统标识设置，
        将会原封不动的保持不变。</p></dd><dt id="-i"><span class="term"><code class="option">-i</code>, </span><span class="term"><code class="option">--image=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-i">¶</a></dt><dd><p>容器的镜像。
        参数必须是一个普通文件或者块设备节点。
        指定的镜像(普通文件或块设备)将被挂载为容器的根文件系统。
        用作镜像的文件或块设备必须满足如下条件：</p><div class="itemizedlist"><ul class="itemizedlist" style="list-style-type: disc; "><li class="listitem"><p>仅包含一个 MBR 分区表，
          其中仅含有一个 0x83 类型的分区(Linux)，
          并被标记为引导分区(bootable)。</p></li><li class="listitem"><p>仅包含一个 GPT 分区表，
          其中仅含有一个
          0fc63daf-8483-4772-8e79-3d69d8477de4 类型的分区(Linux数据)。</p></li><li class="listitem"><p>仅包含一个 GPT 分区表，
          其中仅含有一个根分区(将被挂载为容器的根文件系统)。
          可选的，还可以含有一个HOME分区(将被挂载到 /home 目录)、
          一个服务器数据分区(将被挂载到 /srv 目录)。
          所有这些分区的类型标记(GUID)必须遵守
          <a class="ulink" href="https://www.freedesktop.org/wiki/Specifications/DiscoverablePartitionsSpec/" target="_top">Discoverable
          Partitions Specification</a> 规范。</p></li><li class="listitem"><p>不包含任何分区表，整个文件或块设备本身就是一个单纯的文件系统(直接挂载为容器的根文件系统)。</p></li></ul></div><p>对于GPT镜像，如果存在ESP(EFI System Partition)分区，并且根文件系统上的 <code class="filename">/efi</code> 目录存在且为空，
        那么ESP分区将会被自动挂载到 <code class="filename">/efi</code> 目录。若 <code class="filename">/efi</code> 目录不存在或不为空，
        并且根文件系统上的 <code class="filename">/boot</code> 目录存在且为空，那么ESP分区将会被自动挂载到 <code class="filename">/boot</code> 目录。</p><p>LUKS加密分区将会被自动解密。如果使用 <code class="option">--root-hash=</code>
         给出了GPT镜像内受 dm-verity(数据完整性校验技术)保护的分区的"root hash"，
        那么将在挂载该分区之前自动校验分区数据的正确性。</p><p>其他无关的分区(例如交换分区)将不会被挂载。
        此选项不可与 <code class="option">--directory=</code> 或 <code class="option">--template=</code> 同时使用。</p></dd><dt id="--root-hash="><span class="term"><code class="option">--root-hash=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--root-hash=">¶</a></dt><dd><p>用于校验分区数据完整性(dm-verity)的"root hash"(十六进制字符串)。
        如果容器镜像中包含基于 dm-verity 技术的分区数据完整性元数据，此选项的值将用于校验分区数据的正确性。
        例如在使用 SHA256 算法的情况下，"root hash"一般是一个256位的二进制数(表现为一个64字符的十六进制字符串)。
        如果没有使用此选项，但是容器的镜像文件含有
         "<code class="literal">user.verity.roothash</code>" 扩展属性(参见 <a href="http://man7.org/linux/man-pages/man7/xattr.7.html"><span class="citerefentry"><span class="refentrytitle">xattr</span>(7)</span></a>)，
        那么将从此扩展属性中提取分区的"root hash"(十六进制字符串)，并将其用于校验分区数据的正确性。
        如果容器的镜像文件不含此扩展属性，但是在镜像文件的所在目录中存在文件名相同且后缀名为 <code class="filename">.roothash</code> 的文件，
        那么将会从此文件中读取分区的"root hash"(十六进制字符串)，
        并将其用于校验分区数据的正确性。</p></dd><dt id="-a"><span class="term"><code class="option">-a</code>, </span><span class="term"><code class="option">--as-pid2</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-a">¶</a></dt><dd><p>以 PID=2 运行指定的程序。
        如果既没有使用此选项，也没有使用 <code class="option">--boot</code> 选项，那么将以 PID=1 运行指定的程序(一般是 init 或 shell)。
        注意，在UNIX系统上，PID=1 的进程(init)必须满足一些特殊的要求，
        例如，它必须能够收集所有孤儿进程，还必须要实现与
        <span class="command"><strong>sysvinit</strong></span> 兼容的信号处理器(特别是在收到 SIGINT 信号时重启、
        收到 SIGTERM 信号时重新执行、收到 SIGHUP 信号时重新加载配置、等等)。使用了 <code class="option">--as-pid2</code> 选项之后，
        将会以 PID=1 运行一个极度简化的 init 进程，同时以 PID=2 运行指定的程序(不需要满足 init 进程的特殊要求)。
        这个极度简化的 init 进程，仅能够满足UNIX系统对 init 进程的最低要求(收集孤儿进程以及处理 <span class="command"><strong>sysvinit</strong></span> 信号)。
        强烈建议使用此选项在容器中运行绝大多数普通程序。
        换句话说，除非运行的是能够满足UNIX系统 PID=1 进程的特殊要求的 init 或者 shell 程序，
        否则应该明确使用此选项。
        此选项不可与 <code class="option">--boot</code> 同时使用。</p></dd><dt id="-b"><span class="term"><code class="option">-b</code>, </span><span class="term"><code class="option">--boot</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-b">¶</a></dt><dd><p>自动搜索 init 程序并以 PID=1 运行它(而不是 shell 或用户指定的程序)。
        使用此选项之后，命令行上的参数(ARGS)将会被原封不动的传递给 init 程序。
        此选项不可与 <code class="option">--as-pid2</code> 同时使用。</p><p>下面的表格解释了
        不同调用模式之间的差异：</p><div class="table"><a name="id-1.6.4.7.3.3"></a><p class="title"><b>表 1. 调用模式</b></p><div class="table-contents"><table class="table" summary="调用模式" border="1"><colgroup><col align="left" class="switch"><col align="left" class="explanation"></colgroup><thead><tr><th align="left">选项</th><th align="left">解释</th></tr></thead><tbody><tr><td align="left"> <code class="option">--as-pid2</code> 与 <code class="option">--boot</code> 都没有使用</td><td align="left">在容器中以 PID=1 运行 COMMAND 进程，并将 ARGS 原封不动的作为命令行参数传递给 COMMAND 进程。</td></tr><tr><td align="left">仅使用了 <code class="option">--as-pid2</code> </td><td align="left">首先在容器中以 PID=1 运行一个极度简化的 init 进程，然后以 PID=2 运行 COMMAND 进程，并将 ARGS 原封不动的作为命令行参数传递给 COMMAND 进程。</td></tr><tr><td align="left">仅使用了 <code class="option">--boot</code> </td><td align="left">自动搜索 init 程序并在容器中以 PID=1 运行它，同时将 ARGS 原封不动的作为命令行参数传递给此 init 程序。</td></tr></tbody></table></div></div><br class="table-break"><p>注意，在使用 <code class="filename">systemd-nspawn@.service</code> 模版的情况下，
         将默认以 <code class="option">--boot</code> 模式运行 <span class="command"><strong>systemd-nspawn</strong></span> 。</p></dd><dt id="--chdir="><span class="term"><code class="option">--chdir=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--chdir=">¶</a></dt><dd><p>在容器内启动进程之前，首先将工作目录切换到此选项指定的目录。
        必须设为一个以容器内的文件系统名字空间为基准的绝对路径。</p></dd><dt id="--pivot-root="><span class="term"><code class="option">--pivot-root=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--pivot-root=">¶</a></dt><dd><p>在容器内将根目录切换为此选项指定的目录，同时将容器内原来的根目录卸载或挂载到其他目录。
        如果将此选项设为一个单独的路径，那么表示将容器的根目录切换为此选项指定的目录，同时卸载原来的根目录。
        如果将此选项设为冒号分隔的两个路径("新目录:旧目录")，
        那么表示将容器的根目录切换为"新目录"，
        同时将容器内原来的根目录挂载到"旧目录"。
        注意，所有的路径都必须是以容器内的文件系统名字空间为基准的绝对路径。</p><p>此选项仅可用于包含多个不同启动目录的容器(例如包含多个
        <a class="ulink" href="https://ostree.readthedocs.io/en/latest/" target="_top">OSTree</a> 部署的容器)。
        此选项模拟了 initrd(initial RAM disk) 的功能：选取特定的目录作为根目录，
        并在完成根目录的切换之后，再启动 PID=1 的 init 进程。</p></dd><dt id="-u"><span class="term"><code class="option">-u</code>, </span><span class="term"><code class="option">--user=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-u">¶</a></dt><dd><p>进入容器之后，
        将进程的用户身份切换为此选项指定的用户(必须是在容器内确实存在的用户)。
        注意，此选项仅能用于预防某些粗心大意的操作可能造成的破坏，
        它并非是一个特别坚固的安全特性，
        可能无法抵挡某些精心设计的破坏。</p></dd><dt id="-M"><span class="term"><code class="option">-M</code>, </span><span class="term"><code class="option">--machine=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-M">¶</a></dt><dd><p>设置容器的名称。
        此名称可以用于
        在运行时引用该容器(例如
        <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>
        之类的工具)。
        此外，该名称还被用作容器的初始主机名(hostname)(容器启动之后可以修改)。
        如果未指定此选项，那么将使用容器根目录路径的末尾部分，
        同时，
        如果使用了 <code class="option">--ephemeral</code> 模式的话，
        还可能会再加上一个随机字符串后缀。
        如果容器的根目录就是主机的根目录，
        那么容器的初始主机名将使用主机的主机名。</p></dd><dt id="--hostname="><span class="term"><code class="option">--hostname=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--hostname=">¶</a></dt><dd><p>设置容器的初始主机名，
        默认使用
         <code class="option">--machine=</code> 的值。
        容器名(<code class="option">--machine=</code>)用于从外部标识容器，
        而主机名(<code class="option">--hostname=</code>)则用于从内部标识容器自身。
        为了避免不必要的混淆，明智的做法是将两者始终保持一致。
        所以应该尽量避免使用此选项，仅使用 <code class="option">--machine=</code> 即可。
        注意，无论容器的初始主机名是
        <code class="option">--hostname=</code> 还是 <code class="option">--machine=</code> ，
        容器内的进程都可以在运行中对主机名进行修改。</p></dd><dt id="--uuid="><span class="term"><code class="option">--uuid=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--uuid=">¶</a></dt><dd><p>设置容器的UUID("machine ID")。
        容器的初始化系统将会使用此处的设置填充
        <code class="filename">/etc/machine-id</code> 文件(如果确实不存在)。
        注意，仅在容器中的
        <code class="filename">/etc/machine-id</code> 确实不存在的情况下，
        此选项才有意义。</p></dd><dt id="-S"><span class="term"><code class="option">-S</code>, </span><span class="term"><code class="option">--slice=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-S">¶</a></dt><dd><p>将此容器添加到指定的 slice 单元中，而不是默认的 <code class="filename">machine.slice</code> 单元。
        仅当此容器运行在自己的 scope 单元内时(也就是未使用 <code class="option">--keep-unit</code> 选项)，
        此选项才有意义。</p></dd><dt id="--property="><span class="term"><code class="option">--property=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--property=">¶</a></dt><dd><p>为容器所属的 scope 单元设置一个单元属性
        仅当此容器运行在自己的 scope 单元内时(也就是未使用 <code class="option">--keep-unit</code> 选项)，此选项才有意义。
        属性的赋值语法与 <span class="command"><strong>systemctl set-property</strong></span> 命令完全相同。
        此选项主要用于修改容器的资源控制(例如内存限制)。</p></dd><dt id="--private-users="><span class="term"><code class="option">--private-users=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--private-users=">¶</a></dt><dd><p>控制容器的用户名字空间。启用之后，容器将拥有自己私有的用户与组(UID与GID)，
        容器内的私有 UID/GID(从 root 的 UID=0,GID=0 开始向上递增)
        将会被映射到宿主系统上一段未使用的 UID/GID 范围(通常是高于 65536 的范围)。
        此选项可以接受如下几种设置：</p><div class="orderedlist"><ol class="orderedlist" type="1"><li class="listitem"><p>设为一个或两个正整数(冒号分隔)，表示开启用户名字空间。
          第一个数字表示宿主系统上分配给容器的 UID/GID 起点，第二个数字表示宿主系统上分配给容器的 UID/GID 数量。
          如果省略第二个数字，那么表示分配 65536
          个。</p></li><li class="listitem"><p>使用了此选项但是未设置选项值，或者设为布尔值 yes ，表示开启用户名字空间。
          在这种情况下，为容器分配的 UID/GID 数量是固定的 65536 个，
          而 UID/GID 范围的起点则是容器根目录自身的 UID/GID 。
          要使用此设置，必须确保：(1)在启动容器之前先准备好完整的容器目录树内容；
          (2)目录树中的所有文件与目录的 UID/GID 都没有超出允许的范围；
          (3)所有 ACL 中涉及的 UID/GID 都没有超出允许的范围；
          (4)容器根目录的 UID/GID 必须是 65536 的整数倍。</p></li><li class="listitem"><p>未使用此选项，或者设为布尔值 no ，表示彻底关闭用户名字空间。</p></li><li class="listitem"><p>设为特殊值 "<code class="literal">pick</code>" ，表示开启用户名字空间。
          在这种情况下，为容器分配的 UID/GID 数量是固定的 65536 个，
          而 UID/GID 范围的起点则按如下规则确定：
          如果容器根目录自身的 UID/GID 既未被宿主系统使用也未被其他容器使用，
          那么 UID/GID 范围的起点就是容器根目录自身的 UID/GID (这与上文的"yes"类似)，
          否则(也就是已被宿主或其他容器占用)，
          将会自动在宿主系统 UID/GID 的 524288-1878982656 范围内随机选择一个未被占用的值作为起点(必须是 65536 的整数倍)。
          此设置隐含的设置了下文的
          <code class="option">--private-users-chown</code> 选项，
          从而可以确保容器中的文件和目录的 UID/GID 不会超出自动选择的范围。
          此设置让用户名字空间的行为变得完全自动化。
          在这种情况下，第一次启动一个先前从未使用过的容器镜像，可能会导致为该容器重新分配 UID/GID 范围，
          从而导致非常耗时的调整 UID/GID 的操作。
          不过以后再次启动此容器就很轻松了(除非又遇到需要重新分配 UID/GID 范围的情况)。</p></li></ol></div><p>建议为每个容器都分配 65536 个 UID/GID ，以完整覆盖常用的16位 UID/GID 范围。
        出于安全考虑，切不可为不同的容器分配重叠的 UID/GID 范围。
        应该将32位 UID/GID 的高16位用作容器标识符、低16位用作容器内的用户标识符。
        事实上，
        <code class="option">--private-users=pick</code> 就隐含了这个规则。</p><p>当开启了用户名字空间之后，分配给每个容器的 GID 范围将始终保持与
        UID 范围完全相同。</p><p>在绝大多数场合， <code class="option">--private-users=pick</code> 都是首选的设置。
        因为它增强了容器的安全性并且在绝大多数场合都能自动完成必要的操作。</p><p>注意，被选中的 UID/GID 范围并不会被记录在 <code class="filename">/etc/passwd</code> 或
        <code class="filename">/etc/group</code> 文件中(事实上根本不会记录在任何地方)。
        这个范围仅在启动容器的当时，根据容器根目录的 UID/GID 进行推算。</p><p>注意，当启用了用户名字空间之后，
        文件系统将会遵循容器与宿主之间的 UID/GID 映射规则。
        这就意味着在容器与宿主之间来回复制文件的时候，
        需要根据映射规则自动修改文件的 UID/GID 。</p></dd><dt id="--private-users-chown"><span class="term"><code class="option">--private-users-chown</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--private-users-chown">¶</a></dt><dd><p>调整容器内所有文件与目录的 UID/GID 与 ACL
        以确保遵循容器与宿主之间的 UID/GID 映射规则(见上文)。
        注意，
        使用此选项有可能会导致巨大的性能损失。</p><p><code class="option">--private-users=pick</code> 隐含的设置了此选项。
        如果关闭了用户名字空间，那么此选项将被忽略(不起任何作用)。</p></dd><dt id="-U"><span class="term"><code class="option">-U</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-U">¶</a></dt><dd><p>如果内核支持用户名字空间，那么此选项等价于
        <code class="option">--private-users=pick --private-users-chown</code> ，否则等价于
        <code class="option">--private-users=no</code></p><p>注意，在使用 <code class="filename">systemd-nspawn@.service</code> 模版的情况下，
         <code class="option">-U</code> 是默认设置。</p><p>注意，如果想要在文件系统上撤销 <code class="option">--private-users-chown</code> (或
        <code class="option">-U</code>) 造成的影响，可以通过将容器的 UID/GIU 起点重置为"0"来实现：</p><pre class="programlisting">systemd-nspawn … --private-users=0 --private-users-chown</pre></dd><dt id="--private-network"><span class="term"><code class="option">--private-network</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--private-network">¶</a></dt><dd><p>将容器的网络从宿主的网络断开。
        这样，在容器中，除了 loopback 设备、
         <code class="option">--network-interface=</code> 指定的设备、
         <code class="option">--network-veth</code> 配置的设备，
        其他所有网络接口都将变为不可见。
        使用此选项之后， CAP_NET_ADMIN capability
        将被添加到容器现有的 capabilities 集合中。
        当然，你也可以明确的使用 <code class="option">--drop-capability=</code> 去掉它。
        如果没有明确设置此选项(但可能被其他选项隐含的设置了)，
        那么该容器将能够完全访问宿主机的全部网络。
        </p></dd><dt id="--network-namespace-path="><span class="term"><code class="option">--network-namespace-path=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-namespace-path=">¶</a></dt><dd><p>接受一个内核网络名字空间的文件路径，
        表示将该容器运行在指定的网络名字空间中。
        路径应该指向一个
        (可能是绑定挂载的)网络名字空间文件(位于 <code class="filename">/proc/$PID/ns/net</code>)。
        一个典型的用法是指向
        <code class="filename">/run/netns/</code>
        目录下一个由 <a href="http://man7.org/linux/man-pages/man8/ip-netns.8.html"><span class="citerefentry"><span class="refentrytitle">ip-netns</span>(8)</span></a>
        创建的网络名字空间文件(例如 <code class="option">--network-namespace-path=/run/netns/foo</code>)。
        注意，此选项不能与其他网络选项(例如
         <code class="option">--private-network</code>
        或 <code class="option">--network-interface=</code>)一起使用。</p></dd><dt id="--network-interface="><span class="term"><code class="option">--network-interface=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-interface=">¶</a></dt><dd><p>为容器分配指定的网络接口。
        这将会从宿主系统删除指定的网络接口，
        并将其转移到容器中。
        当容器终止之后，此接口将会被交还给宿主系统。
        注意， <code class="option">--network-interface=</code> 隐含的设置了
        <code class="option">--private-network</code> 选项。
        可以多次使用此选项
        以分配多个网络接口。</p></dd><dt id="--network-macvlan="><span class="term"><code class="option">--network-macvlan=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-macvlan=">¶</a></dt><dd><p>为指定的以太网接口创建一个 "<code class="literal">macvlan</code>" 接口，
        并将其添加到容器中。
        所谓 "<code class="literal">macvlan</code>" 接口，
        是指在一个现有的物理以太网接口上添加一个新的MAC地址而创建的虚拟接口。
        添加到容器内的这个 "<code class="literal">macvlan</code>" 接口，
        其名称将由宿主系统内对应的以太网接口名称再加上
         "<code class="literal">mv-</code>" 前缀组成。
        注意，<code class="option">--network-macvlan=</code> 隐含的设置了
        <code class="option">--private-network</code> 选项。
        可以多次使用此选项以添加多个 "<code class="literal">macvlan</code>"
        接口。</p></dd><dt id="--network-ipvlan="><span class="term"><code class="option">--network-ipvlan=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-ipvlan=">¶</a></dt><dd><p>为指定的以太网接口创建一个 "<code class="literal">ipvlan</code>" 接口，
        并将其添加到容器中。
        所谓 "<code class="literal">ipvlan</code>" 接口，
        是指在一个现有的物理以太网接口上添加一个新的IP地址而创建的虚拟接口。
        添加到容器内的这个 "<code class="literal">ipvlan</code>" 接口，
        其名称将由宿主系统内对应的以太网接口名称再加上
         "<code class="literal">iv-</code>" 前缀组成。
        注意，<code class="option">--network-ipvlan=</code> 隐含的设置了
        <code class="option">--private-network</code> 选项。
        可以多次使用此选项以添加多个 "<code class="literal">ipvlan</code>"
        接口。</p></dd><dt id="-n"><span class="term"><code class="option">-n</code>, </span><span class="term"><code class="option">--network-veth</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-n">¶</a></dt><dd><p>在容器与宿主之间创建一个虚拟以太网连接("<code class="literal">veth</code>")。
        宿主端看到的以太网连接的名称就是容器的名称(也就是
         <code class="option">--machine=</code> 的值)再加上 "<code class="literal">ve-</code>" 前缀。
        容器端看到的以太网连接的名称则是 "<code class="literal">host0</code>" 。注意， <code class="option">--network-veth</code> 隐含的设置了
        <code class="option">--private-network</code> 选项。</p><p>注意，
        <a href="systemd-networkd.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-networkd.service</span>(8)</span></a>
        默认包含 <code class="filename">/usr/lib/systemd/network/80-container-ve.network</code> ，
        此文件匹配所有通过该选项创建的虚拟以太网连接的宿主端接口，
        此文件不但为这些接口启用了 DHCP 功能，而且还为这些接口设置了通向宿主机外部网络的路由(从而可以连通外网)。
        该服务还默认包含 <code class="filename">/usr/lib/systemd/network/80-container-host0.network</code> ，
        此文件匹配所有通过该选项创建的虚拟以太网连接的容器端接口，并且为这些接口启用了 DHCP 功能。
        如果在宿主与容器内同时运行了 <code class="filename">systemd-networkd</code> 服务，
        那么无须额外的配置，即可自动实现在容器与宿主之间进行 IP 通信，
        并且可以连接到外部网络。</p><p>注意， <code class="option">--network-veth</code> 是使用
        <code class="filename">systemd-nspawn@.service</code> 模版时的默认选项。</p></dd><dt id="--network-veth-extra="><span class="term"><code class="option">--network-veth-extra=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-veth-extra=">¶</a></dt><dd><p>在容器与宿主之间添加一个额外的虚拟以太网连接。
        接受一对冒号分隔的网络接口名称("宿主网络接口名称:容器网络接口名称")。
        如果省略了后一个名称，
        那么表示使用同一个名称来命名宿主和容器的网络接口。
        此选项与
        <code class="option">--network-veth</code> 没有任何关系。
        此选项不但可以多次使用，而且还可以明确的指定网络连接的名称。
        注意， <code class="option">--network-bridge=</code>
        对于
        <code class="option">--network-veth-extra=</code> 创建的网络连接没有任何作用。</p></dd><dt id="--network-bridge="><span class="term"><code class="option">--network-bridge=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-bridge=">¶</a></dt><dd><p>把 <code class="option">--network-veth</code> 创建的虚拟以太网连接("<code class="literal">veth</code>")的宿主端添加到此选项指定的以太网桥上。
        接受一个有效的网桥设备的网络接口名称。
        注意，<code class="option">--network-bridge=</code> 隐含的设置了 <code class="option">--network-veth</code> 选项。
        如果使用了此选项，那么太网连接的宿主端名称将使用 "<code class="literal">vb-</code>" 前缀(而不是
        "<code class="literal">ve-</code>" 前缀)。</p></dd><dt id="--network-zone="><span class="term"><code class="option">--network-zone=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--network-zone=">¶</a></dt><dd><p>在容器中创建一个虚拟以太网连接("<code class="literal">veth</code>")，并将其添加到一个自动管理的以太网桥上。
        以太网桥的接口名称就是此选项的值再加上 "<code class="literal">vz-</code>" 前缀。
        此网桥接口将在当第一个配置了此名称的容器启动时自动启动，
        并在最后一个配置了此名称的容器退出时自动移除。
        因此，使用此选项配置的网桥接口，只会在至少有一个引用了此网桥的容器处于运行状态时才会存在。
        此选项与 <code class="option">--network-bridge=</code> 很相似，
        不同之处在于此选项所配置的网桥会被自动创建与删除(无须人为干预)。</p><p>使用此选项，可以方便的将一组相关的本地容器，添加到基于虚拟以太网的同一个广播域(也就是同一子网)之中。
        这样的广播域就被称为"区域"(zone)。每一个容器都只能是某个 zone 的一部分，而每个 zone 则可以包含多个容器。
         zone 的名称(也就是 <code class="option">--network-zone=</code> 的值)可以自由选择，
        但是必须确保加上 "<code class="literal">vz-</code>" 前缀之后，可以构成一个合法的网络接口名称。
        使用了相同 <code class="option">--network-zone=</code> 值的多个运行中的容器，
        将会自动加入到同一个 zone 当中。</p><p>注意，
        <a href="systemd-networkd.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-networkd.service</span>(8)</span></a>
        默认包含 <code class="filename">/usr/lib/systemd/network/80-container-vz.network</code> ，
        此文件匹配所有通过该选项创建的网桥接口，此文件不但为这些接口启用了 DHCP 功能，
        而且还为这些接口设置了通向宿主机外部网络的路由(从而可以连通外网)。
        因此，在绝大多数情况下，通过使用 <code class="option">--network-zone=</code> 选项，无须额外的配置，
        即可自动实现将多个本地容器加入同一个广播域(也就是同一子网)、并与宿主之间互相连通，
        而且可以通过宿主机连接到外部网络。</p></dd><dt id="-p"><span class="term"><code class="option">-p</code>, </span><span class="term"><code class="option">--port=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-p">¶</a></dt><dd><p>如果为容器开启了私有网络，
        那么可以使用此选项在宿主的一个IP端口与容器的一个IP端口之间建立映射。
        选项值必须满足"[协议:]宿主端口[:容器端口]"格式。
        其中的"协议"必须是 "<code class="literal">tcp</code>" 或 "<code class="literal">udp</code>" 、
        "宿主端口"与"容器端口"都必须是一个 1-65535 之间的某个端口号。
        如果省略"协议:"部分，
        那么等价于设为"tcp:"；
        如果省略":容器端口"部分，
        那么等价于使用与"宿主端口"相同的端口号。
        注意，仅在容器确实使用了私有网络的情况下，才可以使用此选项。
        也就是说仅在确实使用了例如
        <code class="option">--network-veth</code>, <code class="option">--network-zone=</code>,
        <code class="option">--network-bridge=</code> 这些选项的时候，才可以使用此选项。</p></dd><dt id="-Z"><span class="term"><code class="option">-Z</code>, </span><span class="term"><code class="option">--selinux-context=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-Z">¶</a></dt><dd><p>用于容器内进程的 SELinux
        安全上下文标签。</p></dd><dt id="-L"><span class="term"><code class="option">-L</code>, </span><span class="term"><code class="option">--selinux-apifs-context=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-L">¶</a></dt><dd><p>用于容器内
        虚拟内核文件系统中的文件的 SELinux
        安全上下文标签。</p></dd><dt id="--capability="><span class="term"><code class="option">--capability=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--capability=">¶</a></dt><dd><p>给容器额外赋予指定的 capabilities 。
        接受一个逗号分隔的
        <a href="http://man7.org/linux/man-pages/man7/capabilities.7.html"><span class="citerefentry"><span class="refentrytitle">capabilities</span>(7)</span></a>
        列表。容器默认拥有的 capabilities 集合包括：
        CAP_AUDIT_CONTROL, CAP_AUDIT_WRITE, CAP_CHOWN, CAP_DAC_OVERRIDE, CAP_DAC_READ_SEARCH,
        CAP_FOWNER, CAP_FSETID, CAP_IPC_OWNER, CAP_KILL, CAP_LEASE, CAP_LINUX_IMMUTABLE,
        CAP_MKNOD, CAP_NET_BIND_SERVICE, CAP_NET_BROADCAST, CAP_NET_RAW, CAP_SETFCAP,
        CAP_SETGID, CAP_SETPCAP, CAP_SETUID, CAP_SYS_ADMIN, CAP_SYS_BOOT, CAP_SYS_CHROOT,
        CAP_SYS_NICE, CAP_SYS_PTRACE, CAP_SYS_RESOURCE, CAP_SYS_TTY_CONFIG 。 此外，如果使用了
        <code class="option">--private-network</code> 选项，那么将会自动包含 CAP_NET_ADMIN 。
        特殊值 "<code class="literal">all</code>" 表示赋予全部的 capabilities 。</p></dd><dt id="--drop-capability="><span class="term"><code class="option">--drop-capability=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--drop-capability=">¶</a></dt><dd><p>从容器中
        删除指定的 capabilities 。
        这将导致容器以少于默认 capabilities 集合(见上文)的方式
        运行。</p></dd><dt id="--no-new-privileges="><span class="term"><code class="option">--no-new-privileges=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--no-new-privileges=">¶</a></dt><dd><p>接受一个布尔值。为容器中的进程设置 <code class="constant">PR_SET_NO_NEW_PRIVS</code> 标记的值。
        默认值为 no 。设为 yes 表示禁止容器中的进程获取新特权，
        也就是，文件的 "setuid" 位以及文件系统 capabilities 将会失效。
        详见 <a href="http://man7.org/linux/man-pages/man2/prctl.2.html"><span class="citerefentry"><span class="refentrytitle">prctl</span>(2)</span></a>
        手册。 </p></dd><dt id="--system-call-filter="><span class="term"><code class="option">--system-call-filter=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--system-call-filter=">¶</a></dt><dd><p>设置容器的系统调用过滤器。接受一个空格分隔的列表，
        列表中的每一项都是一个系统调用名称或系统调用组名称(组名称带有 "<code class="literal">@</code>" 前缀，可以使用
        <a href="systemd-analyze.html#"><span class="citerefentry"><span class="refentrytitle">systemd-analyze</span>(1)</span></a>
        的 <span class="command"><strong>syscall-filter</strong></span> 命令列出所有系统调用组名称)。
        如果列表前面带有 "<code class="literal">~</code>" 前缀，那么表示黑名单列表(禁止容器使用列表中的系统调用)，
        否则表示白名单列表(允许容器使用列表中的系统调用)。
        如果多次使用此选项，那么表示将多个列表组合在一起。
        如果某个系统调用既在白名单中又在黑名单中，那么以黑名单为准(也就是黑名单的优先级更高)。
        注意，<span class="command"><strong>systemd-nspawn</strong></span> 始终隐含着一个默认的系统调用白名单，
        此选项仅仅是在这个隐含的默认白名单基础上利用白名单添加或利用黑名单删除某些系统调用。
        注意，容器的系统调用过滤器还隐含的受到
         <span class="command"><strong>--capabilities=</strong></span> 命令行选项的影响。</p></dd><dt id="--rlimit="><span class="term"><code class="option">--rlimit=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--rlimit=">¶</a></dt><dd><p>为容器设置特定的 POSIX 资源限制。
        可以接受两种格式：
        (1) "<code class="literal"><em class="replaceable"><code>LIMIT</code></em>=<em class="replaceable"><code>SOFT</code></em>:<em class="replaceable"><code>HARD</code></em></code>"
        (2) "<code class="literal"><em class="replaceable"><code>LIMIT</code></em>=<em class="replaceable"><code>VALUE</code></em></code>" 。其中，
        <em class="replaceable"><code>LIMIT</code></em> 是一个资源限制类型(例如
        <code class="constant">RLIMIT_NOFILE</code> 或 <code class="constant">RLIMIT_NICE</code>)、 <em class="replaceable"><code>SOFT</code></em> 与
        <em class="replaceable"><code>HARD</code></em> 分别是软限制与硬限制的数值。
        如果使用(2)格式，那么 <em class="replaceable"><code>VALUE</code></em> 将同时表示软限制与硬限制的数值。
        特殊值 "<code class="literal">infinity</code>" 表示取消该资源类型的限制。
        可以多次使用此选项，从而对多种类型的资源进行限制。
        如果多次对同一种资源类型设置限制，那么以最后一个设置为准。
        有关资源限制的更多详情，参见 <a href="http://man7.org/linux/man-pages/man2/setrlimit.2.html"><span class="citerefentry"><span class="refentrytitle">setrlimit</span>(2)</span></a> 手册。
        默认情况下，容器中 init 进程(PID=1) 的资源限制将被设置为与 Linux 内核最初传递给宿主 init 进程的值相同。
        注意，针对单个用户设置的资源限制(特别是
         <code class="constant">RLIMIT_NPROC</code>)，仍然会作用于该用户的容器。这就意味着，除非使用
         <code class="option">--private-users=</code> 开启了用户名字空间，
        否则，针对同一用户设置的任何资源限制，都将作用于该用户的所有本地容器与宿主进程。
        因此，必须特别注意这种限制，因为它们可能由不可信任的代码设置。例如：
        "<code class="literal">--rlimit=RLIMIT_NOFILE=8192:16384</code>"</p></dd><dt id="--oom-score-adjust="><span class="term"><code class="option">--oom-score-adjust=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--oom-score-adjust=">¶</a></dt><dd><p>设置该容器的 OOM ("Out Of Memory") 计分调整值(也就是
        <code class="filename">/proc/self/oom_score_adj</code> 的值)。
        该值会影响因为内存不足而需要杀死进程时，杀死该容器的优先级。详见 <a href="http://man7.org/linux/man-pages/man5/proc.5.html"><span class="citerefentry"><span class="refentrytitle">proc</span>(5)</span></a> 手册。
        取值范围是 -1000…1000 之间的一个整数(数值越大越容易被优先杀死)。</p></dd><dt id="--cpu-affinity="><span class="term"><code class="option">--cpu-affinity=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--cpu-affinity=">¶</a></dt><dd><p>设置该容器的CPU关联性。
        接受一个逗号分隔的CPU编号与CPU范围("编号下限-编号上限")的列表。详见 <a href="http://man7.org/linux/man-pages/man2/sched_setaffinity.2.html"><span class="citerefentry"><span class="refentrytitle">sched_setaffinity</span>(2)</span></a>
        手册。</p></dd><dt id="--kill-signal="><span class="term"><code class="option">--kill-signal=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--kill-signal=">¶</a></dt><dd><p>当 <span class="command"><strong>systemd-nspawn</strong></span> 自身收到
         <code class="constant">SIGTERM</code> 信号时，要给容器内的 init 进程(PID=1)发送什么信号(以触发容器的有序关闭)。
        如果使用了 <code class="option">--boot</code> 选项，
        那么默认为 <code class="constant">SIGRTMIN+3</code> 信号(对于与 systemd 兼容的 init 来说，表示正常有序的关闭)。
        如果没有使用 <code class="option">--boot</code> 选项，那么默认为 <code class="constant">SIGKILL</code> 信号(粗暴的强制关闭)。
        更多有关可用信号的解释，可参见 <a href="http://man7.org/linux/man-pages/man7/signal.7.html"><span class="citerefentry"><span class="refentrytitle">signal</span>(7)</span></a> 手册。</p></dd><dt id="--link-journal="><span class="term"><code class="option">--link-journal=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--link-journal=">¶</a></dt><dd><p>通过软连接或绑定挂载控制容器内的日志对宿主系统的可见性。
        若开启，则表示允许从宿主系统查看容器内的日志文件。
        注意，宿主系统的日志在容器内是永远不可见的。
        可将此选项设为 "<code class="literal">no</code>",
        "<code class="literal">host</code>", "<code class="literal">try-host</code>",
        "<code class="literal">guest</code>", "<code class="literal">try-guest</code>",
        "<code class="literal">auto</code>" 之一。
         "<code class="literal">no</code>" 表示不作任何连接(不可见)。
         "<code class="literal">host</code>" 表示将容器的日志文件直接存储在宿主系统的
        <code class="filename">/var/log/journal/<em class="replaceable"><code>machine-id</code></em></code> 目录中，
        也就是，将宿主系统上对应的日志目录绑定挂载到容器内对应的日志目录上。
         "<code class="literal">guest</code>"
        表示将容器的日志文件直接存储在容器自身的
        <code class="filename">/var/log/journal/<em class="replaceable"><code>machine-id</code></em></code> 目录中，
        同时，在宿主系统的相同路径上创建一个软连接，并将其指向容器内对应的日志目录。
        "<code class="literal">try-host</code>"/"<code class="literal">try-guest</code>"
        与 "<code class="literal">host</code>"/"<code class="literal">guest</code>" 类似，
        不同之处在于：当宿主系统没有启用持久日志时(<code class="filename">/var/log/journal</code> 不存在或不可写)，不会导致容器启动失败。
        默认值 "<code class="literal">auto</code>" 表示如果宿主系统的
         <code class="filename">/var/log/journal</code> 目录下与该容器对应的日志目录确实存在，
        那么就将其绑定挂载到容器内对应的日志目录上，
        否则不作任何连接(相当于设为 "<code class="literal">no</code>")。
        实际上，只要成功使用
        "<code class="literal">guest</code>" 或 "<code class="literal">host</code>" 启动过一次容器，
        并且后来又使用 "<code class="literal">auto</code>" 再次启动该容器，
        那么就会在宿主系统的日志目录中创建该容器专用的持久日志目录。</p><p>注意，在使用 <code class="filename">systemd-nspawn@.service</code> 模版的情况下，
         <code class="option">--link-journal=try-guest</code> 是默认设置。</p></dd><dt id="-j"><span class="term"><code class="option">-j</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-j">¶</a></dt><dd><p>等价于
        <code class="option">--link-journal=try-guest</code></p></dd><dt id="--resolv-conf="><span class="term"><code class="option">--resolv-conf=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--resolv-conf=">¶</a></dt><dd><p>如何处理容器内的 <code class="filename">/etc/resolv.conf</code> 文件(也就是如何处理宿主系统与容器之间的DNS同步)。
        可设为 "<code class="literal">off</code>",
        "<code class="literal">copy-host</code>", "<code class="literal">copy-static</code>", "<code class="literal">bind-host</code>",
        "<code class="literal">bind-static</code>", "<code class="literal">delete</code>", "<code class="literal">auto</code>" 之一。
        "<code class="literal">off</code>" 表示保持容器内的 <code class="filename">/etc/resolv.conf</code> 文件原封不动，
        就好像此文件是容器镜像内的固有文件一样(既不修改它、也不使用绑定挂载覆盖它)。 "<code class="literal">copy-host</code>" 表示把宿主系统的
        <code class="filename">/etc/resolv.conf</code> 直接复制到容器中。
        "<code class="literal">bind-host</code>" 表示把宿主系统的 <code class="filename">/etc/resolv.conf</code> 绑定挂载到容器中。
        "<code class="literal">copy-static</code>"/"<code class="literal">bind-static</code>" 表示把
        <a href="systemd-resolved.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-resolved.service</span>(8)</span></a>
        提供的静态 <code class="filename">resolv.conf</code> 文件直接复制/绑定挂载到容器中。
        "<code class="literal">delete</code>" 表示删除容器内的 <code class="filename">/etc/resolv.conf</code> 文件(若存在)。
        "<code class="literal">auto</code>" 表示：(1)如果开启了私有网络(<code class="option">--private-network</code>)，那么设为 "<code class="literal">off</code>" ；
        (2)否则如果 <code class="filename">systemd-resolved.service</code> 可用，那么设为
        "<code class="literal">copy-static</code>"(可写镜像) 或 "<code class="literal">bind-static</code>"(只读镜像)；
        (3)否则设为 "<code class="literal">copy-host</code>"(可写镜像) 或 "<code class="literal">copy-static</code>"(只读镜像)。
        如果容器有可能自己修改 <code class="filename">/etc/resolv.conf</code> 文件，那么应该使用 "<code class="literal">copy-*</code>"
        以确保与宿主系统分离(从而允许在容器内修改)，否则应该使用
        "<code class="literal">bind-*</code>" 以确保无法在容器内修改 <code class="filename">/etc/resolv.conf</code>
        文件(因为使用了只读绑定挂载)(不过如果容器具有足够的特权，
        有可能卸载掉已绑定的挂载)。注意，无论绑定挂载还是复制，
        在完成一次性的早期初始化之后，
        通常不会再进一步传播配置(因为该文件通常已经被复制与重命名)。
        默认值为 "<code class="literal">auto</code>"</p></dd><dt id="--timezone="><span class="term"><code class="option">--timezone=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--timezone=">¶</a></dt><dd><p>如何处理容器内的 <code class="filename">/etc/localtime</code> 文件(也就是如何处理宿主系统与容器之间的本地时区同步)。
        可设为 "<code class="literal">off</code>",
        "<code class="literal">copy</code>", "<code class="literal">bind</code>", "<code class="literal">symlink</code>", "<code class="literal">delete</code>",
        "<code class="literal">auto</code>" 之一。 "<code class="literal">off</code>" 表示保持容器内的 <code class="filename">/etc/localtime</code> 文件原封不动，
        就好像此文件是容器镜像内的固有文件一样(既不修改它、也不使用绑定挂载覆盖它)。
        "<code class="literal">copy</code>" 表示把宿主系统的 <code class="filename">/etc/localtime</code> 直接复制到容器中。
        "<code class="literal">bind</code>" 表示把宿主系统的 <code class="filename">/etc/localtime</code> 绑定挂载到容器中。
        "<code class="literal">symlink</code>" 表示在容器内创建 <code class="filename">/etc/localtime</code> 软连接，
        并将其指向容器内对应于宿主时区的时区文件。
        "<code class="literal">delete</code>" 表示删除容器内的 <code class="filename">/etc/localtime</code> 文件(若存在)。
        "<code class="literal">auto</code>" 表示如果宿主系统的 <code class="filename">/etc/localtime</code> 是软连接，那么设为
        "<code class="literal">symlink</code>" ，否则设为 "<code class="literal">copy</code>"(可写镜像) 或
        "<code class="literal">bind</code>"(只读镜像)。
        默认值为 "<code class="literal">auto</code>"</p></dd><dt id="--read-only"><span class="term"><code class="option">--read-only</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--read-only">¶</a></dt><dd><p>以只读模式
        挂载容器的根文件系统。</p></dd><dt id="--bind="><span class="term"><code class="option">--bind=</code>, </span><span class="term"><code class="option">--bind-ro=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--bind=">¶</a></dt><dd><p>将宿主机上的一个文件或目录绑定挂载到容器内指定的目录上。
        如果参数是一个单独的路径，那么它必须是一个目录，表示从宿主系统绑定挂载到容器内的相同路径上。
        如果参数是冒号分隔的一对路径("源路径:目标路径")，那么第一个源路径表示宿主系统上的源路径(既可以是文件也可以是目录)、
        第二个目标路径表示在容器内的挂载目录(必须是目录)。如果还想指定挂载选项，那么可以使用"源路径:目标路径:挂载选项"这样格式的参数。
        如果在源路径前加上 "<code class="literal">+</code>" 字符前缀，那么表示此源路径是容器内的源路径，
        从而可以实现容器内部的绑定挂载。
        如果源路径是一个空字符串，那么表示此源路径实际上是宿主系统
         <code class="filename">/var/tmp</code> 目录下的一个临时目录，并且在容器关闭之后，此临时目录将会被自动删除。
        "挂载选项"是一系列逗号分隔的挂载选项，但实际上，目前仅允许使用 <code class="option">rbind</code> 与
        <code class="option">norbind</code> 两个选项，用于控制是否以递归的方式绑定挂载(默认是"rbind")。
        如果要在路径中包含冒号，那么必须使用 "<code class="literal">\:</code>" 进行转义。
        可以多次使用此选项以创建多个互不相关的绑定挂载点。
        使用 <code class="option">--bind-ro=</code> 表示仅创建只读的绑定挂载点。</p><p>注意，当与 <code class="option">--private-users</code> 一起使用时，
        产生的挂载点将被 <code class="constant">nobody</code> 用户所拥有。
        这是因为挂载点下的文件和目录的用户与组仍然位于宿主系统中，而非位于容器中，
        因此在容器内就会呈现为 UID 65534 (nobody)。
        推荐使用 <code class="option">--bind-ro=</code> 以只读方式创建这种挂载点。</p></dd><dt id="--tmpfs="><span class="term"><code class="option">--tmpfs=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--tmpfs=">¶</a></dt><dd><p>在容器内挂载一个 tmpfs 内存文件系统。
        如果设为一个单独的绝对路径，
        那么表示容器内的挂载点。
        如果还想同时指定挂载选项，
        那么可以使用"挂载路径:挂载选项"这样格式的参数。
        除非在挂载选项中专门进行了设置，
        否则挂载点默认被 root/root 拥有，并且默认的访问权限是 0755 。
        此选项在启动无状态容器(也就是将
         <code class="filename">/var</code>
        挂载到内存)，特别是与
         <code class="option">--read-only</code> 组合使用时，非常有用。
        如果要在路径中包含冒号，
        那么必须使用 "<code class="literal">\:</code>" 进行转义。
        </p></dd><dt id="--overlay="><span class="term"><code class="option">--overlay=</code>, </span><span class="term"><code class="option">--overlay-ro=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--overlay=">¶</a></dt><dd><p>将多个目录树依次组合成一个
        overlay 文件系统，并将其挂载到容器中。
        接受一系列冒号分隔的目录路径列表，除了最后一个路径表示容器内的挂载点之外，
        前面的所有路径都表示宿主机上用于组成 overlay 文件系统的一个个目录树(从左到右依次叠加)。</p><p>如果要在路径中包含冒号，
        那么必须使用 "<code class="literal">\:</code>" 进行转义。
        </p><p>如果设置了三个或更多路径，
        那么最后一个路径表示容器内的挂载点，
        前面的所有路径都表示宿主机上用于组成
        overlay 文件系统的一个个目录树(从左到右依次叠加)。
        最左边的路径位于 overlay 文件系统最底层，
        倒数第二个路径位于 overlay 文件系统最上层。
        使用 <code class="option">--overlay-ro=</code>
        表示创建只读的 overlay 文件系统。
        如果使用 <code class="option">--overlay=</code>
        创建了可读写的 overlay 文件系统，
        那么所有对 overlay 文件系统的写入都将仅作用于最上层的目录，
        也就是倒数第二个路径所在的目录。</p><p>如果仅设置了两个路径，
        那么第二个路径既是宿主机上
        overlay 文件系统的最上层目录，
        同时又是容器内 overlay 文件系统的挂载点。
        此二选项都要求必须设置至少两个路径。</p><p>如果在组成 overlay 文件系统的源路径前面加上 "<code class="literal">+</code>" 字符前缀，那么表示此源路径是容器内的源路径。
        如果将组成 overlay 文件系统的最上层目录的源路径设为空字符串，
        那么表示此源路径实际上是宿主系统 <code class="filename">/var/tmp</code> 目录下的一个临时目录，
        并且在容器关闭之后，此临时目录将会被自动删除。
        这个特性经常用于让只读的容器目录在运行时变为可写。
        例如，使用 "<code class="literal">--overlay=+/var::/var</code>" 可以自动在只读的
         <code class="filename">/var</code> 目录上叠加一个可写的临时目录。</p><p>更多关于 overlay 文件系统的介绍，可参见
        <a class="ulink" href="https://www.kernel.org/doc/Documentation/filesystems/overlayfs.txt" target="_top">overlayfs.txt</a>
        文档。
        注意，overlay 文件系统与常规的文件系统在基本语义上有着很大的不同，
        例如，进程在写入一个文件的时候，
        可能会看到该文件的所属设备与 inode 信息在写入前后发生了变化，
        或者有时候进程会看到某个文件已经过期的老旧版本。
        注意，因为此选项会从最上层的目录树自动获得
        "<code class="literal">workdir=</code>"
        目录的 overlay 文件系统挂载选项(原封不动的搬运过来)，
        再加上 "<code class="literal">workdir=</code>"
        必须与最上层的目录树位于同一个文件系统上，
        所以，最上层的目录树本身其实并不是一个真正的挂载点。
        还需要注意的是，"<code class="literal">lowerdir=</code>" 目录的挂载选项
        来自于
        此选项中的路径栈(以反向顺序排列)。</p></dd><dt id="-E NAME=VALUE"><span class="term"><code class="option">-E <em class="replaceable"><code>NAME</code></em>=<em class="replaceable"><code>VALUE</code></em></code>, </span><span class="term"><code class="option">--setenv=<em class="replaceable"><code>NAME</code></em>=<em class="replaceable"><code>VALUE</code></em></code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-E%20NAME=VALUE">¶</a></dt><dd><p>向容器内的
         init 进程传递一个环境变量(以
        "<code class="literal">NAME=VALUE</code>" 格式)。
        此选项既可以用于覆盖一个已有环境变量的默认值，也可以用于添加一个新的环境变量。
        可以多次使用此选项以添加多个环境变量。</p></dd><dt id="--register="><span class="term"><code class="option">--register=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--register=">¶</a></dt><dd><p>控制是否将该容器注册到
        <a href="systemd-machined.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-machined.service</span>(8)</span></a> 服务中。
        接受一个布尔值，默认值为 "<code class="literal">yes</code>" 。
        当容器中运行的是一个完整操作系统的时候(准确的说是当 PID=1 的进程是系统与服务管理器的时候)，应该开启此选项。
        开启此选项之后，该容器即可被
        <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>
        工具控制，并且被 <a href="http://man7.org/linux/man-pages/man1/ps.1.html"><span class="citerefentry"><span class="refentrytitle">ps</span>(1)</span></a> 工具显示出来。
        如果该容器内的 PID=1 进程不是服务管理器，那么应该将此选项设为
        "<code class="literal">no</code>" 。</p></dd><dt id="--keep-unit"><span class="term"><code class="option">--keep-unit</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--keep-unit">¶</a></dt><dd><p>不是在一个临时创建的 scope 单元中运行此容器，
        而是直接在调用 <span class="command"><strong>systemd-nspawn</strong></span> 命令的 service 或 scope 单元中运行此容器。
        如果同时还设置了 <code class="option">--register=yes</code> ，那么该 service 或 scope 单元将被注册到
        <a href="systemd-machined.service.html#"><span class="citerefentry"><span class="refentrytitle">systemd-machined.service</span>(8)</span></a> 服务中。
        如果从一个服务单元内部调用 <span class="command"><strong>systemd-nspawn</strong></span> 命令，那么必须使用此选项，
        并且该服务单元的唯一作用必须是仅仅只运行一个单独的 <span class="command"><strong>systemd-nspawn</strong></span> 容器。
        禁止在用户会话环境中使用此选项。</p><p>注意，使用了 <code class="option">--keep-unit</code> 选项之后， <code class="option">--slice=</code> 与
        <code class="option">--property=</code> 将会失效。同时使用 <code class="option">--keep-unit</code> 与 <code class="option">--register=no</code>
        可以防止将调用 <span class="command"><strong>systemd-nspawn</strong></span> 命令的 service 或 scope 单元注册到
        <span class="command"><strong>systemd-machined</strong></span> 中。</p></dd><dt id="--personality="><span class="term"><code class="option">--personality=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--personality=">¶</a></dt><dd><p>设置
        容器内
        <a href="http://man7.org/linux/man-pages/man2/uname.2.html"><span class="citerefentry"><span class="refentrytitle">uname</span>(2)</span></a>
        所报告的体系架构。目前仅支持 "<code class="literal">x86</code>" 与
        "<code class="literal">x86-64</code>" 两个值。
        此选项对于在64位宿主机上运行32位容器来说才有实际意义。
        如果未设置此选项，
        那么将使用与宿主机相同的值。</p></dd><dt id="-q"><span class="term"><code class="option">-q</code>, </span><span class="term"><code class="option">--quiet</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-q">¶</a></dt><dd><p>静默模式。
        也就是关闭状态报告。
        使用此选项之后，
        将仅输出容器内操作系统自身的控制台内容。</p></dd><dt id="--volatile"><span class="term"><code class="option">--volatile</code>, </span><span class="term"><code class="option">--volatile=</code><em class="replaceable"><code>MODE</code></em></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--volatile">¶</a></dt><dd><p>控制以何种"易失"模式启动容器。
        <code class="option">--volatile</code>(等价于
        <code class="option">--volatile=yes</code>)
        表示以完全无状态模式(完全隐私模式)启动容器，
        也就是将内存("<code class="literal">tmpfs</code>")用作容器的根文件系统，
        同时仅以只读模式挂载容器镜像内的 <code class="filename">/usr</code> 目录，
        这样，将以只读模式使用容器镜像，
        所有对容器内文件系统的修改都将在容器关闭后丢失。
        <code class="option">--volatile=state</code>
        表示以常规方式挂载容器镜像内的根目录，
        但是仅将 <code class="filename">/var</code>
        挂载到内存中("<code class="literal">tmpfs</code>")，
        这样，容器将以用户自定义的配置启动，
        但是运行过程中的状态都将在容器关闭之后丢失。
        <code class="option">--volatile=no</code>
        是默认值，
        表示以常规的读写模式挂载容器镜像内的文件系统。</p><p>此选项为容器提供了类似于宿主机 "<code class="literal">systemd.volatile=</code>"
        内核引导选项的功能。详见
        <a href="kernel-command-line.html#"><span class="citerefentry"><span class="refentrytitle">kernel-command-line</span>(7)</span></a>
        手册。</p><p>注意，要使用此选项，容器内的操作系统必须满足以下条件：(1)可以在仅挂载
        <code class="filename">/usr</code> 的条件下启动；(2)可以自动填充
        <code class="filename">/var</code> 目录；(3)当 "<code class="literal">--volatile=yes</code>" 时，
        还必须能够自动填充 <code class="filename">/etc</code> 目录。</p></dd><dt id="--settings=MODE"><span class="term"><code class="option">--settings=</code><em class="replaceable"><code>MODE</code></em></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--settings=MODE">¶</a></dt><dd><p>控制
        <span class="command"><strong>systemd-nspawn</strong></span>
        是否搜索并使用专门针对每个容器的
        <code class="filename">.nspawn</code> 配置文件。
        接受一个布尔值或者特殊值 <code class="option">override</code> 或
        <code class="option">trusted</code> 。</p><p>默认值 yes
        表示在
        <code class="filename">/etc/systemd/nspawn/</code> 与
        <code class="filename">/run/systemd/nspawn/</code>
        目录中搜索与容器名称(来自于 <code class="option">--machine=</code>
        选项或者容器镜像目录/文件的名称)相同且后缀名为
        <code class="filename">.nspawn</code>
        的配置文件并应用这些配置文件。
        如果没有找到对应的配置文件，
        那么将会进一步在容器镜像文件的所在目录、或容器根目录的所在父目录中搜索。
        如果找到了对应的配置文件，那么将会仅应用其中的非特权指令，
        而所有特权指令都将被忽略。
        注意，命令行上的设置比容器配置文件的优先级更高，
        也就是 <code class="filename">.nspawn</code>
        文件中的配置将会被命令行上的设置所覆盖。
        这里所说的特权指令，
        是指有可能造成权限提升或者要求访问主机资源(例如主机的文件或目录)的配置指令。
        更多关于
        <code class="filename">.nspawn</code> 文件的说明，参见
        <a href="systemd.nspawn.html#"><span class="citerefentry"><span class="refentrytitle">systemd.nspawn</span>(5)</span></a> 手册。</p><p> <code class="option">override</code> 与 yes 类似，
        不同之处在于，容器配置文件的优先级将会高于命令行上的设置。
        也就是
        <code class="filename">.nspawn</code>
        文件中的配置将会
        覆盖命令行上的设置。</p><p> <code class="option">trusted</code> 与 yes 类似，
        不同之处在于，将会搜索所有位于
        <code class="filename">/etc/systemd/nspawn/</code> 目录、
        <code class="filename">/run/systemd/nspawn/</code> 目录、
        容器镜像文件的所在目录、容器根目录的所在父目录
        中的 <code class="filename">.nspawn</code> 文件，并应用这些配置文件。
        注意，这些文件中的配置依然会被命令行上的设置所覆盖。</p><p>设为 no 表示
        完全忽略 <code class="filename">.nspawn</code>
        文件。</p></dd><dt id="--notify-ready="><span class="term"><code class="option">--notify-ready=</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--notify-ready=">¶</a></dt><dd><p>配置容器内的 init 进程是否支持通知机制，
        仅接受一个布尔值(<code class="option">no</code> 与  <code class="option">yes</code>)。
        设为 <code class="option">no</code> 表示 systemd-nspawn 将会在启动容器内 init 进程的同时，
        向 systemd 发送一条 "<code class="literal">READY=1</code>" 消息。
        设为 <code class="option">yes</code> 表示 systemd-nspawn 将会等待容器内 init 进程主动发送
        "<code class="literal">READY=1</code>" 消息，然后再将此消息转发给 systemd 。
        有关通知机制的详情，
        参见 <a href="http://www.jinbuguo.com/systemd/sd_notify.html#"><span class="citerefentry"><span class="refentrytitle">sd_notify</span>(3)</span></a> 手册。</p></dd><dt id="-h"><span class="term"><code class="option">-h</code>, </span><span class="term"><code class="option">--help</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#-h">¶</a></dt><dd><p><a name="help-text"></a>显示简短的帮助信息并退出。
    </p></dd><dt id="--version"><span class="term"><code class="option">--version</code></span><a class="headerlink" title="Permalink to this term" href="systemd-nspawn.html#--version">¶</a></dt><dd><p><a name="version-text"></a>显示简短的版本信息并退出。</p></dd></dl></div></div><div class="refsect1"><a name="id-1.7"></a><h2 id="例子">例子<a class="headerlink" title="Permalink to this headline" href="systemd-nspawn.html#%E4%BE%8B%E5%AD%90">¶</a></h2><div class="example"><a name="id-1.7.2"></a><p class="title"><b>例 1. 下载
      <a class="ulink" href="https://getfedora.org" target="_top">Fedora</a> 镜像并在其中启动 shell </b></p><div class="example-contents"><pre class="programlisting"># machinectl pull-raw --verify=no \
      https://mirrors.163.com/fedora/releases/30/Cloud/x86_64/images/Fedora-Cloud-Base-30-1.2.x86_64.raw.xz
# systemd-nspawn -M Fedora-Cloud-Base-30-1.2.x86_64.raw</pre><p>这将使用
      <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>
      下载镜像并在其中启动一个 shell </p></div></div><br class="example-break"><div class="example"><a name="id-1.7.3"></a><p class="title"><b>例 2. 创建一个最小化的 Fedora 系统并在容器中启动它</b></p><div class="example-contents"><pre class="programlisting"># dnf -y --releasever=30 --installroot=/var/lib/machines/f30 \
      --disablerepo='*' --enablerepo=fedora --enablerepo=updates install \
      systemd passwd dnf fedora-release vim-minimal
# systemd-nspawn -bD /var/lib/machines/f30</pre><p>这将在
      <code class="filename">/var/lib/machines/f30</code>
      目录中安装一个最小化的 Fedora 系统，并在名字空间容器中启动该系统。
      因为此 Fedora 系统安装在标准目录 <code class="filename">/var/lib/machines/</code>
      之中，所以还可以使用
      <span class="command"><strong>systemd-nspawn -M f30</strong></span> 命令来启动。</p></div></div><br class="example-break"><div class="example"><a name="id-1.7.4"></a><p class="title"><b>例 3. 创建一个最小化的 Debian unstable 系统并在容器中启动一个 shell</b></p><div class="example-contents"><pre class="programlisting"># debootstrap unstable ~/debian-tree/
# systemd-nspawn -D ~/debian-tree/</pre><p>这将在 <code class="filename">~/debian-tree/</code>
      目录中安装一个最小化的 Debian unstable 系统，
      然后在一个容器中启动此系统中的 shell 。</p><p><span class="command"><strong>debootstrap</strong></span> 支持
      <a class="ulink" href="https://www.debian.org" target="_top">Debian</a>,
      <a class="ulink" href="https://www.ubuntu.com" target="_top">Ubuntu</a>,
      <a class="ulink" href="https://www.tanglu.org" target="_top">Tanglu</a>
      开箱即用，所以对于这三种发行版可以使用相同的安装命令。
      对于其他 Debian 系发行版，必须明确指定一个镜像，详见
      <a href="https://linux.die.net/man/8/debootstrap"><span class="citerefentry"><span class="refentrytitle">debootstrap</span>(8)</span></a> 手册。
      </p></div></div><br class="example-break"><div class="example"><a name="id-1.7.5"></a><p class="title"><b>例 4. 创建一个最小化的
      <a class="ulink" href="https://www.archlinux.org" target="_top">Arch Linux</a> 系统并在容器中启动它</b></p><div class="example-contents"><pre class="programlisting"># pacstrap -c -d ~/arch-tree/ base
# systemd-nspawn -bD ~/arch-tree/</pre><p>这将在 <code class="filename">~/arch-tree/</code>
      目录中安装一个最小化的 Arch Linux 系统，
      然后在一个容器中启动此系统。</p></div></div><br class="example-break"><div class="example"><a name="id-1.7.6"></a><p class="title"><b>例 5. 安装
      <a class="ulink" href="https://software.opensuse.org/distributions/tumbleweed" target="_top">OpenSUSE Tumbleweed</a>
      滚动发行版</b></p><div class="example-contents"><pre class="programlisting"># zypper --root=/var/lib/machines/tumbleweed ar -c \
      https://download.opensuse.org/tumbleweed/repo/oss tumbleweed
# zypper --root=/var/lib/machines/tumbleweed refresh
# zypper --root=/var/lib/machines/tumbleweed install --no-recommends \
      systemd shadow zypper openSUSE-release vim
# systemd-nspawn -M tumbleweed passwd root
# systemd-nspawn -M tumbleweed -b</pre></div></div><br class="example-break"><div class="example"><a name="id-1.7.7"></a><p class="title"><b>例 6. 在容器中启动一个宿主系统的临时快照</b></p><div class="example-contents"><pre class="programlisting"># systemd-nspawn -D / -xb</pre><p>这将在容器中运行当前宿主系统的一个临时快照，并在容器退出后立即销毁此快照。
       在容器运行期间对文件系统所做的任何更改都将在容器关闭后丢失。</p></div></div><br class="example-break"><div class="example"><a name="id-1.7.8"></a><p class="title"><b>例 7. 运行带有 SELinux 沙盒安全上下文的容器</b></p><div class="example-contents"><pre class="programlisting"># chcon system_u:object_r:svirt_sandbox_file_t:s0:c0,c1 -R /srv/container
# systemd-nspawn -L system_u:object_r:svirt_sandbox_file_t:s0:c0,c1 \
      -Z system_u:system_r:svirt_lxc_net_t:s0:c0,c1 -D /srv/container /bin/sh</pre></div></div><br class="example-break"><div class="example"><a name="id-1.7.9"></a><p class="title"><b>例 8. 运行含有一个 OSTree 部署的容器</b></p><div class="example-contents"><pre class="programlisting"># systemd-nspawn -b -i ~/image.raw \
      --pivot-root=/ostree/deploy/$OS/deploy/$CHECKSUM:/sysroot \
      --bind=+/sysroot/ostree/deploy/$OS/var:/var</pre></div></div><br class="example-break"></div><div class="refsect1"><a name="id-1.8"></a><h2 id="退出状态">退出状态<a class="headerlink" title="Permalink to this headline" href="systemd-nspawn.html#%E9%80%80%E5%87%BA%E7%8A%B6%E6%80%81">¶</a></h2><p>等于
    在容器中执行的程序的退出状态</p></div><div class="refsect1"><a name="id-1.9"></a><h2 id="参见">参见<a class="headerlink" title="Permalink to this headline" href="systemd-nspawn.html#%E5%8F%82%E8%A7%81">¶</a></h2><p>
      <a href="systemd.html#"><span class="citerefentry"><span class="refentrytitle">systemd</span>(1)</span></a>,
      <a href="systemd.nspawn.html#"><span class="citerefentry"><span class="refentrytitle">systemd.nspawn</span>(5)</span></a>,
      <a href="http://man7.org/linux/man-pages/man1/chroot.1.html"><span class="citerefentry"><span class="refentrytitle">chroot</span>(1)</span></a>,
      <a href="https://www.mankier.com/8/dnf"><span class="citerefentry"><span class="refentrytitle">dnf</span>(8)</span></a>,
      <a href="https://linux.die.net/man/8/debootstrap"><span class="citerefentry"><span class="refentrytitle">debootstrap</span>(8)</span></a>,
      <a href="https://www.archlinux.org/pacman/pacman.8.html"><span class="citerefentry"><span class="refentrytitle">pacman</span>(8)</span></a>,
      <a href="https://www.mankier.com/8/zypper"><span class="citerefentry"><span class="refentrytitle">zypper</span>(8)</span></a>,
      <a href="systemd.slice.html#"><span class="citerefentry"><span class="refentrytitle">systemd.slice</span>(5)</span></a>,
      <a href="machinectl.html#"><span class="citerefentry"><span class="refentrytitle">machinectl</span>(1)</span></a>,
      <a href="http://man7.org/linux/man-pages/man8/btrfs.8.html"><span class="citerefentry"><span class="refentrytitle">btrfs</span>(8)</span></a>
    </p></div></div></body></html>
